Spamerzy mają wiele sposobów na pozyskanie adresów e-mail. Można się przed nimi bronić, ale bezpieczeństwo adresu zależy nie tylko od nas. Wygląda na to, że przed spamem skutecznie ochroni tylko filtr poczty.
E-mail podajemy w setkach miejsc. Nie służy już tylko do kontaktu ze znajomymi i otrzymywania newsletterów, ale również do potwierdzenia rejestracji i zakładania kont w serwisach. Coraz częściej używa się e-maila jako loginu. Szansa na to, że adres wycieknie i trafi w ręce spamerów cały czas rośnie.
Wysyłanie spamu jest opłacalne – gdyby nikt nie klikał w reklamy znalezione w niechcianych wiadomościach szybko skończyłoby się ich wysyłanie. Spamerzy cały czas na tym zarabiają, więc muszą pozyskiwać coraz więcej adresów. Zwykły użytkownik może bronić się na dwa sposoby: ukrywając swój adres (zapobiegać spamowi) lub filtrując pocztę.
Spamerzy – użytkownicy 1:0
Rok temu pisaliśmy na temat {link_wew 4029}ochrony adresów e-mail{/link_wew}. Zaproponowaliśmy kilka sposobów ochrony. Jednym z popularnych pomysłów było zarzucenie spamerów olbrzymią liczbą fałszywych adresów. Niestety nie udało się to. Osoby, które w ogóle próbowały działać tworzyły zupełnie nienaturalne strony, na których umieszczały setki fałszywych adresów bez żadnej treści. Spamerzy mogli szybko stworzyć listy stron, na których adresy są nieautentyczne – na takiej samej zasadzie jak tworzy się listy serwerów wysyłających spam.
Tymczasem idea miała polegać na dodaniu kilku lub kilkunastu fałszywych adresdów na zwykłe (lub wyglądające jak zwykłe) witryny tysięcy niezależnych użytkowników. Niestety w akcję włączyła się jedynie garstka zainteresowanych osób.
Drugim pomysłem było maskowanie adresów przy pomocy JavaScriptu. Jest to cały czas skuteczne, ale przez rok zwiększyła się moc obliczeniowa komputerów. W związku z tym boty mogą już rozpoznawać adresy zamaskowane przy pomocy JavaScriptu. Nie wiadomo, czy spamerom już się to opłaca, ale w podobny sposób od kilku miesięcy działa Google. Testy pokazują, że Googlebot potrafi już zinterpretować część treści generowanych przez JS. Cały czas nie radzi sobie jednak z bardziej złożonymi przykładami. Wykonanie kilku niestandardowych operacji, o złożoności większej niż łączenie łańcuchów znaków i podstawianie zmiennych może być skuteczne przez jakiś czas. Niestety wraz z dalszym wzrostem szybkości obliczeń i obniżaniem cen sprzętu możemy spodziewać się coraz lepiej działających botów, które rozszyfrują nawet złożony JavaScript.
Adres dla klientów
Jeśli na stronie umieszczasz adres kontaktowy dla klientów nie maskuj go w żaden sposób. E-mail musi być możliwy do skopiowania, więc powinieneś zrezygnować z obrazków imitujących tekst. Nawet proste operacje są dla niektórych osób niezrozumiałe. Przykładem może być adres podany w formie moje.nazwisko@tlen.pl. Mimo że obok znajduje się informacja, że człon „moje.nazwisko” należy podmienić, zdarzają się osoby, które wyślą wiadomość na skopiowany adres bez wnikania jaką ma treść lub… wstawią jako nazwę użytkownika własne nazwisko.
E-mail powinien więc być podany jawnie, w sposób wygodny dla użytkownika. Jeśli posiadamy własny serwer poczty istnieje możliwość przekierowania wszystkich wiadomości skierowanych do nieistniejących użytkowników na wybrane konto, co wyeliminuje pomyłki tego typu.
Administratorzy mogą więcej
Właściciele stron, którzy nie chcą podawać jawnego adresu (patrz ramka) mogą pokusić się o stworzenie formularza kontaktowego. Technicznie możliwe jest wykonanie formularza bez ujawniania adresu, a taka forma kontaktu jest często doceniana przez użytkowników. Gwarantuje to, że adres nie zostanie ujawniony, ale nie w każdym miejscu można pozwolić sobie na takie rozwiązanie. Zwykli użytkownicy podający swój adres na forum czy w komentarzu pod tekstem nie mają możliwości dodania formularza.
Grupy podwyższonego ryzyka
Osoby zajmujące się spamem zwracają uwagę na to, że nie wszyscy użytkownicy otrzymują taką samą liczbę niechcianych wiadomości. Najwięcej dostają ich użytkownicy, których nazwa zaczyna się na początkowe litery alfabetu i ma od 4 do 6 znaków. Ryzykowne są również nazwy będące kombinacją imienia i numeru (np. ania83@wp.pl). Dzieje się tak, gdyż programy spamujące wysyłają e-maile pod każdy wygenerowany adres zaczynając od początku alfabetu lub korzystając ze słownika. Zanim program dojdzie do dłuższych nazw albo końca alfabetu może przestać działać, wysłać wystarczającą liczbę wiadomości itd.
Aby zmniejszyć ilość spamu można stworzyć adres łącząc nazwisko z imieniem i oddzielić je znakiem specjalnym. Większy zestaw znaków zwiększa ilość kombinacji, więc część spamerów opuści takie e-maile, żeby nie wykonywać zbyt dużej ilości obliczeń. Należy pamiętać, że nie ma to znaczenia w przypadku popularnego GMaila: Jan.Kowalski@gmail.com, jankowalski@gmail.com czy j.a.n.k.o.w.a.l.s.k.i@gmail.com będą tymi samymi osobami. Żeby uniknąć niejasności Google rezerwuje wszystkie te adresy dla jednego użytkownika i blokuje rejestrację kolejnych.
Jeśli adresy tworzone są przez automat, a nie pochodzą z bazy danych to prawdopodobnie wysyłane będą głównie do osób mających konto u znanego dostawcy. Prostym, ale nie darmowym, sposobem jest wykupienie własnej mało popularnej domeny.
To nie twoja wina
Nawet jeśli pilnujesz własnego adresu, nie oznacza to, że pozostanie on bezpieczny. Spamerzy mogą pozyskać e-maile kopiując nagłówki łańcuszków wysyłanych do wszystkich osób z książki kontaktowej. Wiele osób nie zwraca uwagi na ochronę danych własnych znajomych i masowo wysyłane wiadomości adresuje jawnie.
Innym problemem może być administracja któregoś z serwisów, która przypadkiem lub w wyniku błędu ujawni dane użytkowników. Za przykład posłużyć może Gazeta.pl, w której do stycznia 2009 wystarczyło wysłać e-mail na adres ankieta@gazeta.pl aby automatycznie został on przesłany do wszystkich użytkowników.
Zapobieganie kradzieży adresów e-mail jest prawie niemożliwe. Skuteczną obroną wydaje się jedynie wprowadzanie coraz lepszych filtrów antyspamowych na serwerach i w klientach poczty. Nie oznacza to, że adres należy rozdawać w każdym możliwym miejscu – rozsądek jest tu niezastąpiony.
